Рубрика «социальная инженерия» - 3

в 0:15, , рубрики: Instagram, информационная безопасность, социальная инженерия, Социальные сети и сообщества

Эта статья будет о способе взлома Instagram аккаунтов из-за неопытности их владельцев. Всё это описано лишь в ознакомительных целях.

Ключом ко взлому будет предварительное получение доступа к почте жертвы. С приходом эры двухфакторной аутентификации многие почтовые сервисы отказались от возможности восстановления аккаунта с-помощью секретного вопроса, но не все. Yandex и Rambler по-прежнему предлагают пользователям вместо номера телефона ввести ответ на секретный вопрос, это и поможет нам.

Теперь главной задачей для нас будет найти те аккаунты Instagram, к которым привязана нужная нам почта. Чтобы не пересматривать профили вручную в поисках кнопки «Контакты» или «E-mail адрес», я написал простой скрипт на Python, который собирает логины подписчиков определенного человека и каждому отправляет запрос на восстановление пароля, и в файл записывается ответ сервера:

image
Читать полностью »

в 7:53, , рубрики: Phishing, phishing protection, security awareness, social engineering, информационная безопасность, социальная инженерия, фишинг

Современный рынок ИБ наполнен всевозможными продвинутыми решениями с приставками в названии Next generation, Unified, AntiAPT ну или хотя бы 2.0. Производители обещают новый уровень автоматизации, автореспонса, распознования зеродея и прочие чудеса. Любой безопасник знает: нужно усиленно защищать периметр, вовремя ставить патчи, внедрять хостовые и поточные антивирусы, DLP, UEBA и прочие средства. Можно и даже нужно организовать ситуационный центр (SOC) и выстроить процессы выявления и реагирования на инциденты, проводить сложный Threat Intelligence, обмениваться фидами. В общем-то этим и заполнена жизнь обычного ИБэшника, чуть более чем на 100%…

Но все это бесполезно! Потому что внутри любой компании находится Homo vulnerable (в простонародье — сотрудник), иногда много. Его далекие предки Homo sapiens sapiens, проходя этапы дарвиновской эволюции, отлично освоили работу с браузером, почтовым клиентом и офисным пакетом, и теперь мы наблюдаем Homo vulnerable. От Homo sapiens sapiens он отличается наличием смартфона, кучей аккаунтов в соцсетях и атрофированным умением изобретать орудия труда из палок и камней. Он еще он что-то слышал про хакеров, но это где-то там, потому что даже если он с ними и сталкивается, то ему не больно и не страшно: максимум чем он рискует — это некое количество денежных единиц.

image
Читать полностью »

в 13:41, , рубрики: CBC, CRIME, csrf, DROWN, freak, Logjam, poodle, rsa, SSL, TLS, Алгоритмы, атака Воденэ, атака Келси, атака оракула, брутфорс, Иллюзия обмана, информационная безопасность, криптография, предвычисления, Серверное администрирование, социальная инженерия, Тестирование веб-сервисов

При слове «криптография» некоторые вспоминают свой пароль WiFi, зелёный замочек рядом с адресом любимого сайта и то, как трудно залезть в чужую почту. Другие вспоминают череду уязвимостей последних лет с говорящими аббревиатурами (DROWN, FREAK, POODLE...), стильными логотипами и предупреждением срочно обновить браузер.

Криптография охватывает всё это, но суть в ином. Суть в тонкой грани между простым и сложным. Некоторые вещи просто сделать, но сложно вернуть обратно: например, разбить яйцо. Другие вещи легко сделать, но трудно вернуть обратно, когда отсутствует маленькая важная решающая часть: например, открыть запертую дверь, когда «решающая часть» является ключом. Криптография изучает эти ситуации и способы их практического использования.

За последние годы коллекция криптографических атак превратилась в зоопарк кричащих логотипов, набитых формулами научных статей и породила общее мрачное ощущение, что всё сломано. Но на самом деле многие из атак основаны на нескольких общих принципах, а бесконечные страницы формул часто сводятся к простым для понимания идеям.
Читать полностью »

в 1:39, , рубрики: Appx, email, Universal Windows Platform, uwp, информационная безопасность, разработка под windows, социальная инженерия

На картинке изображены различные устройства (ПК, смартфоны, IoT, Xbox, Surface Hub, Hololens), поддерживающие приложения Universal Windows Platform

TL;DR: В APPX-файл Universal Windows Platform можно упаковать обычный exe-файл, который будет запускаться в Windows 10 (сборка 1607 и новее) примерно так же, как обычные exe-файлы. Это можно использовать для атак социальной инженерии, с помощью рассылки через email — почтовые провайдеры не блокируют файлы APPX. Файл должен быть подписан действующей цифровой подписью.

Universal Windows Platform

Universal Windows Platform — (сравнительно) новый стандарт для создания универсальных приложений под Windows 10, Windows 10 Mobile, Xbox One и Hololens. Стандарт появился с выходом Windows 10, и предоставляет API с ограничением привилегий и изоляцией, формат контейнера и метаданных внутри него.
UWP-приложения широко представлены в Microsoft Store. Они самодостаточны, безопасны, не требуют прав администратора для установки, хранят настройки в строго отведённых местах, и могут быть удалены начисто, прямо из «пуска».

UWP — попытка Microsoft избавиться от старых архитектурных подходов к разработке программ: внедрить разделение привилегий так, как это сделано на мобильных платформах, уйти от WinAPI GUI с пиксельной сеткой (для полноценной поддержки экранов любой плотности пикселей).
Программы UWP можно писать на C#, C++, VB и JS, а в качестве GUI-фреймфорка предлагается к использованию XAML, DirectX и HTML.

До недавнего времени, UWP-программы могли быть только изолированными, но в сборке Windows 10 1607 Microsoft реализовала Desktop Bridge — возможность упаковки любых Win32-программ в виде UWP, без использования UWP API, ограничений привилегий и изоляции.
Эта функция открывает простор для атак социальной инженерии.Читать полностью »

в 11:08, , рубрики: Блог компании Мосигра, дети, информационная безопасность, книги, социальная инженерия, социнжиниринг, список

Художественные детские книги про социнжиниринг - 1

Привет!
Я три года назад читал в детском лагере лекцию про социнжиниринг, троллил детей и немного бесил вожатых. В итоге испытуемые спросили, что почитать. Мой дежурный ответ про две книги Митника и две книги Чалдини, вроде, убедителен, но только для примерно восьмиклассника и старше. Если младше — то надо сильно чесать голову.

В общем, ниже — очень короткий список самых обычных художественных произведений. Лёгких, простых, детских. Но про социальную инженерию. Потому что в каждой культуре есть персонаж-джокер, который немного психопат, немного шут и немного эффективный специалист. Список неполный, и я хочу попросить вас его продолжить. Читать полностью »

в 9:45, , рубрики: интернет-маркетинг, информационная безопасность, мошенничество в интернете, социальная инженерия

image

Мечта любого пиарщика и маркетолога — разместить статью о своей компании на Википедии, ведь это и авторитетность, и высокая поисковая выдача, а значит и больше внимания со стороны потенциальных клиентов.

Но написать статью на Википедии – это только половина дела, нужно еще и не допустить ее удаления, что в случае, если вы маленький стартап или начинающий блогер, бывает непросто.

Требования Википедии понятны – это сетевая энциклопедия, для нее важна уникальность материала, а главное — его значимость для вики-сообщества, поэтому если на вас не ссылаются на «значимом» вебсайте, то и для энциклопедии информация о вашей компании или персоне не нужна.

Вот что написано об этом в правилах Википедии:

«Предмет значим, если описывается множественными нетривиальными публикациями авторитетных и независимых источников. Все объекты должны обладать минимальным уровнем требуемой значимости для того, чтобы статья о них была включена в Википедию. В это требование входит необходимость наличия достаточного количества источников для написания проверяемой и энциклопедичной статьи. Статья, не удовлетворяющая критериям значимости, может быть выставлена на удаление.»

Читать полностью »

в 10:06, , рубрики: безопасность, Вконтакте, информационная безопасность, мошенничество, МТС, сотовая связь, социальная инженерия, Социальные сети и сообщества, социнжиниринг

Сегодня, буквально несколько часов назад, я обнаружил новый для меня способ мошенничества: попытку получить доступ к личному кабинету моего сотового оператора.

Оперативный поиск в сети, а также опрос знакомых айтишников показал, что никто пока этот способ еще не видел в работе. Отсутствие общеизвестности, а также неочевидность обывателям всех угроз применения полученного доступа делает его более опасным.

Внимание! Данный пост написан с целью предупредить сообщество о возможной опасности и новом виде мошенничества. Повторение действий, описанных в статье, с любыми аккаунтами, кроме своих собственных, влечёт ответственность в соответствие с законодательством РФ.

Читать полностью »

в 18:02, , рубрики: конкурсы, продажи, социальная инженерия, Управление продажами, Управление продуктом, управление проектами

Мета-игры: Мой опыт создания конкурсов для менеджеров по продажам - 1

Я работаю в сфере, где IT подразделение хоть и играет заметную роль, но все-таки лишь обслуживает основной бизнес. По своей должности я провоцирую всякие инновации и сую нос в самые разнообразные бизнес-процессы. В этой статье я поделюсь своим опытом создания конкурсов для менеджеров по продажам.

Чтобы сразу продемонстрировать своё отношение к предмету, в заголовок я вынес понятие “мета-игры”. В современном мире компьютерных приложений “мета-игры” понимаются, как механики, направленные в первую очередь на выполнение целей разработчика, а не на развлечение игрока (источник).

Перенося данную идею на работу отдела продаж, можно сформулировать следующее положение:

Конкурс для продающих сотрудников конструируется для достижения конкретных результатов, нехарактерных в рамках обычной окладно-премиальной мотивации. Читать полностью »

в 8:39, , рубрики: office, vba-макросы, xlm-макросы, Блог компании Инфосистемы Джет, информационная безопасность, социальная инженерия

image
Хакеры десятилетиями эксплуатируют человеческую доверчивость и невнимательность. Большинство пользователей без раздумий открывают безобидное, на первый взгляд, почтовое вложение и, сами того не зная, запускают вредоносное ПО. Чтобы защититься от подобных атак, нужно знать врага в лицо. Сегодня мы попробуем разобраться, как устроены три новые техники выполнения кода в офисных приложениях, обнаруженные в этом году, и какие способы защиты от них существуют.

Читать полностью »

в 13:11, , рубрики: атаки, Блог компании Positive Technologies, информационная безопасность, социальная инженерия, фишинг

Опасное приглашение, или Как работает боевая нагрузка к фишинговому письму - 1

Недавно специалисты PT ESC обнаружили документ формата Publisher с названием «Приглашение 29–30 ноября 2018.pub» (1edd5b6a02ec82cec381c1a1ec74a67e). В этом материале мы расскажем, как обычный с виду документ превращается в троян, позволяющий злоумышленнику захватывать изображение с веб-камер, записывать звук по команде или при обнаружении окна Skype, запускать PowerShell-скрипты, делать скриншоты экрана, копировать файлы с медиаустройств.Читать полностью »

1...234...8
Главная   |  Архив новостей  |   Android  |   Google  |   Apple  |   Microsoft  |   Информационная безопасность  |   Веб – разработка
Публикации RSS  |  Комментарии RSS
https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js